Как я могу разрешить доступ к REST по IP?

Question

Я хотел бы заблокировать доступ к остальному API, чтобы мир не мог получить к нему доступ, и только предопределенные IP-адреса могли. Мой back-end - сервис Java, но я бы хотел отделить этот уровень безопасности от кода и применить его в качестве внешнего инструмента. какой-то брандмауэр для конечных точек. Например:

Я работаю с GKE.

Кто-нибудь знает решение для этого?

Спасибо

Answer 1

Поскольку GKE, в конце концов, представляет собой группу виртуальных машин, вы можете использовать правила брандмауэра для блокировки IP-адресов (или разрешения IP-адресов) для доступа к вашим конечным точкам; запомните поток данных

 Internet -> Google Cloud (firewall) -> Validation -> Services (VMs, GKE, AppEngine, etc.)

Существует этот документ: https://cloud.google.com/solutions/prep-kubernetes-engine-for-prod, который может пригодиться, особенно в той части, где говорится: «Брандмауэр, вы можете использовать его как руководство по созданию правил брандмауэра, которые вам необходимы для удовлетворения ваших потребностей и, возможно, даже для расширения его для повышения безопасности.

Просто помните, создавайте свои правила с требуемым доступом и не более (если вы используете только один порт, дайте доступ к этому одному порту, но не к группе) и избегайте правила 0.0.0.0/0, лучше создавать отверстия, чем открытую дверь.

Обновление: как автор объяснил лучше, я думаю, что лучший выстрел для достижения более быстрых (и лучших) результатов будет использоваться балансировка нагрузки с URL-картами, таким образом, внутренние службы будут не затронуты, а распознавание пути IP будет на верхнем уровне. Информацию можно найти в [https://cloud.google.com/load-balancing/docs/url-map-concepts]

Если вам нужна дополнительная помощь, просто дайте мне знать;)

-JP

Answer 2

Вы можете использовать Google Cloud Armor , чтобы разрешить доступ к вашему приложению только для указанных c IP-адресов или диапазонов CIDR. Он интегрируется с GKE и в точности соответствует описанному вами сценарию использования. Просто обратите внимание, что в настоящее время он находится в бета-версии и может не подходить для производства в зависимости от ваших требований.